El RGPD no reserva sus obligaciones a las grandes empresas: toda organización que recopile datos personales está afectada, incluidas las microempresas con un archivo de clientes en Excel. Los grandes principios son:
En la práctica, esto implica llevar un registro de tratamientos, informar a las personas (menciones, política de privacidad), recabar el consentimiento cuando sea necesario y poder atender solicitudes de acceso, rectificación o supresión.
El registro de tratamientos recoge, para cada tratamiento, su finalidad, las categorías de datos y personas afectadas, los destinatarios, los plazos de conservación y las medidas de seguridad. Es obligatorio y constituye la primera prueba de cumplimiento que un control de la AEPD solicitará.
La designación de un DPO (Delegado de Protección de Datos) es obligatoria en tres casos:
Fuera de estos casos, el DPO sigue siendo opcional, aunque suele recomendarse. Muchas PYMES designan a un referente interno o externalizan la función.
El RGPD regula estrictamente las transferencias de datos fuera de la UE: solo son posibles hacia países con un nivel de protección adecuado o mediante garantías específicas. Confiar los datos a un servicio alojado fuera de Europa implica, por tanto, una complejidad jurídica y un riesgo reputacional.
Alojar los datos de los clientes en Francia, o al menos en la Unión, simplifica radicalmente el cumplimiento: no hay transferencias internacionales que regular, un marco legal único y un argumento de confianza para los propios clientes. Elegir herramientas que garanticen este alojamiento —como Orizen, alojado en Francia— es una decisión de cumplimiento y de soberanía.
Descubra la solución Orizen: Acompañamiento Orizen, modular y creada para las pymes francesas.
Essai gratuit 14 jours El precio del módulo: Acompañamiento OrizenSí. El RGPD se aplica independientemente del tamaño de la organización, siempre que trate datos personales de personas situadas en la UE: fichero de clientes, base de prospectos, datos de empleados. Una microempresa no está exenta del registro de tratamientos, de la obligación de información ni de los derechos de las personas. Solo el nombramiento de un DPO depende de criterios específicos.
No siempre. El DPO es obligatorio únicamente para los organismos públicos o cuando la actividad principal implique un seguimiento regular y sistemático a gran escala o el tratamiento a gran escala de datos sensibles. Fuera de estos casos, es facultativo pero recomendable. Muchas PYME designan un referente interno de RGPD o recurren a un proveedor externo.
Alojarlos en Francia o en la UE evita tener que regular las transferencias de datos fuera de Europa, que exigen garantías específicas. Es más sencillo jurídicamente y tranquilizador para los clientes. Por eso una herramienta como Orizen, alojada en Francia, facilita el cumplimiento normativo de las PYME a las que acompaña.